Stand: August 2026. Der EU AI Act ist für den Mittelstand relevant, auch wenn ein Unternehmen kein eigenes Sprachmodell trainiert. Wer KI in Personalprozessen, Kundenkontakt, Qualitätsprüfung oder Produkten einsetzt, kann je nach Anwendung als Betreiber – im Gesetz „Deployer“ – eigene Pflichten haben. Der vernünftige Startpunkt ist deshalb kein hundertseitiges Rechtsgutachten, sondern ein vollständiges Verzeichnis der eingesetzten Systeme.
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft und wird stufenweise angewendet. Seit dem 2. Februar 2025 gelten die Verbote bestimmter Praktiken und die Pflicht, bei beteiligten Mitarbeitern ein ausreichendes Maß an KI-Kompetenz zu fördern. Regeln für Anbieter von General-Purpose-AI-Modellen gelten seit August 2025. Transparenzpflichten, etwa bei direkter Interaktion mit bestimmten KI-Systemen, gelten seit dem 2. August 2026.
Risikostufen des AI Act
Der AI Act folgt einem risikobasierten Ansatz:
- Verbotene Praktiken dürfen nicht eingesetzt werden. Dazu zählen eng definierte Formen manipulativer oder ausbeuterischer Systeme und bestimmte biometrische Anwendungen.
- Hochrisiko-Systeme unterliegen Anforderungen an Risikomanagement, Datenqualität, Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Cybersicherheit.
- Transparenzrisiken verlangen in bestimmten Situationen einen klaren Hinweis, dass eine Person mit KI interagiert oder Inhalte künstlich erzeugt beziehungsweise verändert wurden.
- Minimales Risiko umfasst den Großteil gewöhnlicher Anwendungen. Für Spamfilter oder viele interne Assistenzfunktionen führt der AI Act keine umfassende neue Produktzulassung ein.
Die Einstufung hängt nicht am Produktnamen. Dasselbe Sprachmodell kann eine risikoarme Textkorrektur unterstützen oder Teil eines sensiblen Systems zur Bewerberauswahl sein. Maßgeblich sind Zweck, Kontext, betroffene Personen und die tatsächliche Entscheidungskette.
Änderungen des Zeitplans im Jahr 2026
Der europäische Gesetzgeber hat den Zeitplan für bestimmte Hochrisiko-Regeln angepasst. Nach Angaben der EU-Kommission trat der sogenannte AI Omnibus am 27. Juli 2026 in Kraft. Für Hochrisiko-Anwendungen in Bereichen wie Beschäftigung, Bildung, kritischer Infrastruktur oder biometrischer Identifikation ist nun der 2. Dezember 2027 maßgeblich. Für KI als Sicherheitskomponente regulierter Produkte gilt in vielen Fällen der 2. August 2028.
Diese Verschiebung ist kein Grund, das Thema zu vertagen. Inventar, Verantwortlichkeiten, Lieferantenunterlagen, Mitarbeiterkompetenz und Datenschutz werden unabhängig vom letzten Konformitätsdatum benötigt. Zudem gelten einige Pflichten bereits.
Umsetzungsaufgaben für KMU
1. Ein KI-Inventar führen
Erfasst werden Dienst, Anbieter, Zweck, Nutzergruppe, verwendete Daten, Ausgaben, Schnittstellen und verantwortliche Person. Auch Funktionen in ERP, CRM, Office-Paketen oder Maschinen gehören dazu. „Wir nutzen nur ChatGPT“ ist selten eine vollständige Bestandsaufnahme.
2. Die eigene Rolle bestimmen
Die meisten KMU werden Standarddienste einsetzen und damit Betreiber sein. Wer ein System unter eigenem Namen anbietet, wesentlich verändert oder für einen anderen als den vorgesehenen Zweck nutzt, kann weitergehende Verantwortung übernehmen. Diese Abgrenzung sollte vor kundenseitiger Einführung geklärt werden.
3. Anwendungen nach Schaden und Recht einordnen
Personalentscheidungen, Kreditwürdigkeit, biometrische Merkmale, kritische Infrastruktur und sicherheitsrelevante Produktfunktionen verlangen besondere Prüfung. Für einfache Textassistenz reicht oft eine schlanke Bewertung. Datenschutz, Urheberrecht, Geschäftsgeheimnisse und Arbeitsrecht gelten daneben weiter.
4. KI-Kompetenz praktisch nachweisen
Artikel 4 verlangt angemessene Maßnahmen zur KI-Kompetenz. Ein jährliches Video allein ist wenig überzeugend. Schulungen sollten zum konkreten Werkzeug passen: Welche Daten dürfen eingegeben werden? Wie werden Fehler erkannt? Wann ist menschliche Freigabe Pflicht? Wo wird ein Vorfall gemeldet? Teilnehmer, Inhalte und Aktualisierung werden dokumentiert.
5. Lieferantenunterlagen prüfen
Verträge und technische Unterlagen sollten Datenverwendung, Speicherort, Unterauftragnehmer, Modelländerungen, Protokollzugang und Sicherheitsvorfälle abdecken. Bei relevanten Anwendungen braucht das KMU Informationen, mit denen es die eigene Pflicht überhaupt erfüllen kann.
Vorgehen für eine erste Bestandsaufnahme
- Woche 1: Werkzeuge und Schatten-KI erfassen.
- Woche 2: Zweck, Daten und mögliche Auswirkungen je Anwendung bewerten.
- Woche 3: Nutzungsrichtlinie, Freigaben und verbotene Eingaben festlegen.
- Woche 4: rollenbezogene Schulung durchführen und offene Hochrisikofälle juristisch prüfen lassen.
Für ein typisches KMU ist der AI Act vor allem eine Governance-Aufgabe: wissen, welche KI wo entscheidet, die beteiligten Menschen befähigen und riskante Anwendungen nicht unkontrolliert wachsen lassen. Dieser Beitrag bietet eine technische und organisatorische Orientierung, ersetzt aber keine Rechtsberatung für den konkreten Anwendungsfall.